Cisco Meraki MX および Z3 テレワーカーゲートウェイ VPNにおける DoS の脆弱性

Cisco Meraki MX および Cisco Meraki Z3 テレワーカー ゲートウェイ デバイスの Cisco AnyConnect VPN サーバーにおける脆弱性により、認証されていないリモートの攻撃者が該当デバイスにサービス妨害（DoS）状態を引き起こす可能性があります。

この脆弱性は、SSL VPNセッションの確立中にクライアントが提供するパラメータの検証が不十分であることに起因します。攻撃者は、悪意のあるリクエストを巧妙に作成して該当デバイスに送信することで、この脆弱性をエクスプロイトする可能性があります。エクスプロイトに成功すると、攻撃者は Cisco AnyConnect VPN サーバーをクラッシュおよび再起動させ、その結果、確立された SSL VPN 接続が失敗し、リモートユーザは新しい VPN 接続の開始と再認証を強いられる可能性があります。攻撃が持続的であれば、新しい SSL VPN 接続の確立が妨げられる可能性があります。

注：攻撃トラフィックが停止すると、Cisco AnyConnect VPN サーバーは、手動による介入を必要とせずに正常に回復します。

Cisco Meraki では、この脆弱性に対処するソフトウェアアップデートをリリースしています。この脆弱性に対処する回避策はありません。

このアドバイザリは次のリンクで確認できます。https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-meraki-mx-vpn-dos-vnESbgBf

Cisco Meraki MX シリーズおよび Cisco Meraki Z3 テレワーカー ゲートウェイ デバイスは、リモート ネットワーク アクセス用に次の 2 つの VPN サービスをサポートしています。

• レイヤー 2 トンネリングプロトコル（L2TP）または IPsec トンネリングプロトコルを使用するクライアント VPN
• Transport Layer Security（TLS）および Datagram TLS（DTLS）プロトコルを使用し、一般に SSL VPN と呼ばれる Cisco AnyConnect VPN

Cisco Meraki MX シリーズと Cisco Meraki Z3 テレワーカー ゲートウェイ デバイスの両方で、クライアント VPN（L2TP/IPsec）および Cisco AnyConnect VPN（SSL）サービスを同時に有効にできます。

この脆弱性は、TLS および DTLS パケットの処理に存在するため、Cisco AnyConnect VPN が設定されているデバイスにのみ影響します。クライアント VPN（L2TP/IPsec）のみを通じてリモート ネットワーク アクセスを提供するように設定されているデバイスは、この脆弱性の影響を受けません。

この脆弱性に対処する回避策はありません。Cisco Meraki では、管理者がデバイスを修正済みのソフトウェアリリースにアップグレードすることを推奨しています。Cisco AnyConnect VPN を無効にすると、このアドバイザリに記載されている脆弱性に対する攻撃ベクトルが排除されます。

Cisco Meraki では、このアドバイザリに記載された脆弱性に対処する無償のソフトウェアアップデートをリリースしています。

お客様がインストールしたりサポートを受けたりできるのは、ライセンスをご購入いただいたソフトウェアリリースとフィーチャセットに対してのみとなります。お客様は、このようなソフトウェアアップグレードをインストール、ダウンロード、アクセス、またはその他の方法で使用することにより、シスコ エンド ユーザー ライセンス契約および該当する製品固有の条件に従うことに同意したことになります。
https://www.cisco.com/c/en/us/products/end-user-license-agreement.html

また、お客様がソフトウェアをダウンロードできるのは、Cisco Meraki から直接、あるいは Cisco Meraki 認定リセラーやパートナーから、ソフトウェアの有効なライセンスを取得している場合に限ります。通常、これは以前購入したソフトウェアのメンテナンス アップグレードです。無償のセキュリティ ソフトウェア アップデートによって、お客様に新しいソフトウェア ライセンス、追加ソフトウェア フィーチャ セット、またはメジャー リビジョン アップグレードに対する権限が付与されることはありません。

お客様は、[Cisco Security Advisories] ページで入手できる Cisco Meraki 製品のアドバイザリを定期的に参照して、侵害を受ける可能性と完全なアップグレード ソリューションを確認することをお勧めします。

いずれの場合も、アップグレードするデバイスに十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新規リリースで引き続き正しくサポートされていることを十分に確認してください。Cisco Meraki は、ファームウェアの更新にファームウェアのベストプラクティスを利用することを推奨しています。情報が明確でない場合は、Cisco Meraki サポートに問い合わせることをお勧めします。

修正済みリリース

発行時点では、次の表に示すリリース情報は正確でした。Cisco Meraki は、必要に応じてこのアドバイザリを更新します。

左の列には Cisco Meraki MX ファームウェアリリースが、右の列には、そのリリースがこのアドバイザリに記載されている脆弱性の影響を受けたかどうか、およびこの脆弱性に対する修正を含むリリースが示されています。Cisco Meraki MX シリーズと Cisco Meraki Z3 テレワーカーゲートウェイはどちらも Cisco Meraki MX ファームウェアを実行します。したがって、次の表の情報は両方のプラットフォームに適用されます。

Cisco Product Security Incident Response Team（PSIRT）および Cisco Meraki Incident Response Team は、本アドバイザリに記載されている脆弱性のエクスプロイト事例は確認していません。

この脆弱性は Cisco Meraki サポートケースの解決中に発見されました。

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。